北 해킹조직 라자루스, 한국 주요 산업 노렸다…서버 30곳 공격 표적

글로벌 보안기업 사이퍼마 보고서서 공격 정황 포착
PHP 취약점 악용해 침투 시도…공격 대상 581개 호스트로 확대

▲북한 사이버 공격 (사진=챗GPT AI 생성)

북한 정찰총국과 연계된 것으로 알려진 해킹조직 라자루스(Lazarus)가 국내 정부기관과 금융·통신 등 주요 산업 분야를 겨냥해 사이버 공격을 시도한 정황이 드러났다. 해커들이 한국의 인터넷주소(IP) 대역을 공격 대상으로 지목한 데 이어 실제 표적 목록에서도 국내 서버와 도메인 30곳이 포함된 것으로 확인됐다.

15일 정보통신기술(ICT)업계에 따르면 글로벌 위협 인텔리전스 기업 사이퍼마는 이달 초 발표한 'PHP2Shell 취약점 악용 실태' 업데이트 보고서를 통해 라자루스의 사이버 공격 움직임을 공개했다.

라자루스는 금융기관의 자금을 탈취하거나 정부와 기업의 기밀정보를 확보하는 등의 활동을 벌여온 북한 연계 해킹조직이다. 이번에는 웹 서버에서 활용되는 프로그래밍 언어 PHP의 보안상 허점을 파고든 것으로 분석됐다.

보고서에 담긴 해커들의 비공개 온라인 대화 내용에는 한국을 주요 공격 대상으로 검토한 정황이 나타났다. 해커들은 지난달 28일 공격 대상 탐색 결과를 공유하면서 한국과 일본, 미국, 태국, 인도네시아, 인도 등의 일부 IP 대역에 주목했다.

공격은 특정 산업군을 중심으로 추진된 것으로 파악됐다. 사이퍼마는 해커들이 정부기관을 비롯해 은행·금융기관, 통신, 핵심 인프라, 물류·항공, 제조업, 온라인 거래 플랫폼 등 7개 분야의 PHP 기반 웹 서버를 우선 표적으로 선정했다고 설명했다. 이들은 공격 가능성이 높다고 판단한 국가의 IP 대역에 스캔 노드를 추가 배치하며 침투를 시도했다.

사이퍼마가 입수한 공격 대상 명단에는 10개국에 걸쳐 외부에 노출된 서버 216곳이 포함됐다. 이 중 국내 서버와 도메인은 30곳으로 집계됐다. 한국은 일본, 미국 등과 함께 아시아·태평양 지역에서 공격 대상이 많이 확인된 국가에 속했다.

공격자들은 윈도 운영체제에서 실행되는 PHP 코어의 원격 코드 실행(RCE) 취약점인 'CVE-2026-109618'과 'CVE-2026-109619'를 공격에 이용한 것으로 조사됐다.

사이퍼마 분석에 따르면 해커들은 이미 감염시킨 21개 스캔 노드 IP를 활용해 표적 서버에 웹셸로 불리는 악성 스크립트를 심으려 했다. 이어 관리자 인증정보를 빼내고 내부 네트워크의 다른 시스템으로 접근하는 수법을 통해 공격 범위를 581개 호스트까지 확장한 것으로 파악됐다.

사이퍼마는 추가적인 보안 침해 가능성을 고려해 국내 공격 대상 30곳의 IP 주소 가운데 마지막 네 번째 자리를 가린 채 보고서에 실었다. 이번 공격은 웹사이트 응용프로그램이 아닌 PHP 실행 환경 자체의 취약점을 이용했다는 점에서 주의가 요구된다.

사이퍼마는 개별 웹사이트의 소프트웨어를 업데이트하는 조치만으로는 공격을 차단하기 어렵다고 설명했다. 이에 PHP 코어에 보안 패치를 적용한 뒤 모든 웹 워커 프로세스를 완전히 재시작해야 한다고 권고했다.